Servei de Directori amb LDAP [4]: ​​OpenLDAP (I)

Hola Amics !. Entrem en matèria, i com sempre recomanem llegeixin els tres articles anteriors de la sèrie:

• Servei de Directori amb LDAP. Introducció.
• Servei de Directori amb LDAP [2]: NTP i dnsmasq.
• Servei de Directori amb LDAP [3]: Isc-DHCP-Server i bind9.

El DNS, DHCP i NTP són els serveis mínims indispensables perquè el nostre senzill directori basat en OpenLDAP natiu, funcioni adequadament en el Debian 6.0 «Squeeze», O al Ubuntu 12.04 LTS «Precise Pangolin».

Xarxa d'exemple:

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

A la Primera Part veurem:

• Instal·lació de l'OpenLDAP (slapd 2.4.23-7.3)
• Comprovacions després de la instal·lació
• Índexs a tenir en compte
• Regles d'al Control d'Accés a les dades
• Generació de Certificats TLS al Squeeze

mentre que a la Segona Part continuarem amb:

• Autenticació local d'usuaris
• Poblar la base de dades
• Administrar la base de dades mitjançant utilitats de consola
• Resum fins aquí ...

Instal·lació de l'OpenLDAP (slapd 2.4.23-7.3)

El servidor OpenLDAP s'instal·la mitjançant el paquet bufetada. També hem d'instal·lar el paquet ldap-utils, El qual ens proporciona algunes eines de la banda de el client, així com utilitats pròpies de l'OpenLDAP.

: ~ # Aptitude install slapd ldap-utils

Durant el procés d'instal·lació, el debconf ens preguntarà per la contrasenya de l'administrador o usuari «admin«. També s'instal·len una sèrie de dependències; es crea l'usuari OpenLDAP; es crea la configuració inicial de servidor, així com el directori LDAP.

En les versions anteriors de l'OpenLDAP, la configuració de l'dimoni bufetada es realitzava totalment mitjançant l'arxiu /etc/ldap/slapd.conf. En la versió que estem fent servir i posteriors, la configuració es realitza en el mateix bufetada, Ia tal propòsit se li dedica un DIT «Directory Information Tree»O Arbre d'Informació de l'Directori, per separat.

El mètode de configuració conegut com RTC «Configuració en temps real»Configuració en Temps Real, o com el Mètode cn = config, Ens permet configurar de forma dinàmica a l' bufetada sense que sigui necessari reiniciar el servei.

La base de dades de la configuració consisteix en una col·lecció d'arxius de text en format LDIF «LDAP Data Interchange Format»Format LDAP per a l'Intercanvi de Dades, localitzats a la carpeta /etc/ldap/slapd.d.

Per tenir una idea de l'organització de la carpeta slapd.d, Executem:

: ~ # ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/: total 8 drwxr-x --- 3 OpenLDAP OpenLDAP 4096 febrer 16 11:08 cn = config -RW ------- 1 OpenLDAP OpenLDAP 407 16 feb 11:08 cn = config.ldif /etc/ldap/slapd.d/cn=config: total 28 -RW ------- 1 OpenLDAP OpenLDAP 383 16 feb 11:08 cn = module {0} .ldif drwxr-x --- 2 OpenLDAP OpenLDAP 4096 febrer 16 11:08 cn = schema -RW ------- 1 OpenLDAP OpenLDAP 325 16 feb 11:08 cn = schema.ldif -RW ------- 1 OpenLDAP OpenLDAP 343 16 feb 11:08 olcBackend = {0} hdb.ldif -RW ------- 1 OpenLDAP OpenLDAP 472 16 feb 11:08 olcDatabase = {0} config.ldif -RW ------- 1 OpenLDAP OpenLDAP 586 febrer 16 11:08 olcDatabase = {- 1} frontend.ldif -RW ------- 1 OpenLDAP OpenLDAP 1012 febrer 16 11:08 olcDatabase = {1} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = schema: total 40 -RW ------- 1 OpenLDAP OpenLDAP 15474 16 febrer 11:08 cn = {0} core.ldif -RW ------- 1 OpenLDAP OpenLDAP 11308 16 feb 11:08 cn = {1} cosine.ldif -RW ------- 1 OpenLDAP OpenLDAP 6438 febrer 16 11:08 cn = {2} nis.ldif -RW ------- 1 OpenLDAP OpenLDAP 2802 febrer 16 11:08 cn = {3} inetorgperson.ldif

Si observem una mica la sortida anterior, veiem que el Backend utilitzat en Squeeze és la base de dades tipus hdb, La qual és una variant de bdb «Berkeley Database», i que és totalment jeràrquica i suporta el reconegut de sub-arbres. Per conèixer més sobre els possibles backends que suporta OpenLDAP, visiteu http://es.wikipedia.org/wiki/OpenLDAP.

També veiem que s'utilitzen tres bases de dades separades, és a dir, una dedicada a la configuració, una altra a l' frontend, I l'última que és la base de dades hdb en si.

D'altra banda, bufetada s'instal·la per defecte amb els esquemes Nucli, cosinus, nis e inetOrgPerson.

Comprovacions després de la instal·lació

En una terminal executem i llegim amb calma les sortides. Comprovarem, sobretot amb el segon comandament, la configuració deduïda de llistar la carpeta slapd.d.

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b cn = config | more: ~ # ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b cn = config dn
dn: cn = config dn: cn = module {0}, cn = config dn: cn = schema, cn = config dn: cn = {0} core, cn = schema, cn = config dn: cn = {1} cosine , cn = schema, cn = config dn: cn = {2} nis, cn = schema, cn = config dn: cn = {3} inetOrgPerson, cn = schema, cn = config dn: olcBackend = {0} hdb, cn = config dn: olcDatabase = {- 1} frontend, cn = config dn: olcDatabase = {0} config, cn = config dn: olcDatabase = {1} hdb, cn = config

Explicació de cada sortida:

• cn = config: Paràmetres globals.
• cn = module {0}, cn = config: Mòdul carregat de forma dinàmica.
• cn = schema, cn = config: Conté el codificat dur a el nivell dels esquemes de el sistema.
• cn = {0} core, cn = schema, cn = config: El codificat dur de l'esquema de l'nucli.
• cn = {1} cosine, cn = schema, cn = config: L'esquema Cosine.
• cn = {2} nis, cn = schema, cn = config: L'esquema Nis.
• cn = {3} inetOrgPerson, cn = schema, cn = config: L'esquema inetOrgPerson.
• olcBackend = {0} hdb, cn = config: Backend d'emmagatzematge de dades tipus hdb.
• olcDatabase = {- 1} frontend, cn = config: frontend de la base de dades i paràmetres per defecte per a les altres bases de dades.
• olcDatabase = {0} config, cn = config: Base de dades de la configuració de l' bufetada (cn = config).
• olcDatabase = {1} hdb, cn = config: La nostra instància de la base de dades (dc = amics, dc = cu)

: ~ # Ldapsearch -x -LLL -H ldap: /// -b dc = example, dc = com dn
dn: dc = amics, dc = cu dn: cn = admin, dc = amics, dc = cu

• dc = amics, dc = cu: Base de el DIT Arbre d'Informació de l'Directory
• cn = admin, dc = amics, dc = cu: Administrador (rootdn) de el DIT declarat durant la instal·lació.

Nota: El sufix base dc = amics, dc = cu, Ho va prendre el debconf durant la instal·lació a partir de l' FQDN de servidor mildap.amics.cu.

Índexs a tenir en compte

El indexat de les entrades es realitza per millorar el rendiment de les recerques sobre el DIT, Amb criteris de filtrat. Els índexs que considerarem són els mínims recomanats d'acord amb els atributs declarats en els esquemes per defecte.

Per modificar dinàmicament els índexs a la base de dades, vam crear un arxiu de text en format LDIF, I posteriorment ho afegim a la base de dades. Creem l'arxiu olcDbIndex.ldif i ho deixem amb el següent contingut:

: ~ # nano olcDbIndex.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcDbIndex olcDbIndex: uidNumber eq - add: olcDbIndex olcDbIndex: gidNumber eq - add: olcDbIndex olcDbIndex: memberuid eq, pres, sub - add: olcDbIndex olcDbIndex: loginShell eq - add: olcDbIndex olcDbIndex: uid pres, sub, eq - add: olcDbIndex olcDbIndex: cn pres, sub, eq - add: olcDbIndex olcDbIndex: sn pres, sub, eq - add: olcDbIndex olcDbIndex: GivenName, ou pres, eq, sub - add: olcDbIndex olcDbIndex: DisplayName pres, sub, eq - add: olcDbIndex olcDbIndex: default sub - add: olcDbIndex olcDbIndex: mail eq, subinitial - add: olcDbIndex olcDbIndex: dc eq

Afegim els índexs a la base de dades i comprovem la modificació:

: ~ # Ldapmodify -I EXTERNAL -H ldapi: /// -f ./olcDbIndex.ldif

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \ cn = config '(olcDatabase = {1} hdb)' olcDbIndex

dn: olcDatabase = {1} hdb, cn = config olcDbIndex: objectClass eq olcDbIndex: uidNumber, gidNumber eq olcDbIndex: memberuid eq, pres, sub olcDbIndex: loginShell eq olcDbIndex: uid pres, sub, eq olcDbIndex: cn pres, sub, eq olcDbIndex: sn pres, sub, eq olcDbIndex: GivenName, ou pres, eq, sub olcDbIndex: DisplayName pres, sub, eq olcDbIndex: default sub olcDbIndex: mail eq, subinitial olcDbIndex: dc eq

Regles d'al Control d'Accés a les dades

S'anomena Control d'Accés a les regles que s'estableixen perquè els usuaris puguin llegir, modificar, afegir i esborrar dades a la base de dades de l'Directori, mentre que anomenarem Llistes de Control d'Accés o «ACL Access Control List»A les directives que configuren a les regles.

Per conèixer quines ACL es van declarar per defecte durant el procés d'instal·lació de l' bufetada, Executem:

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \
cn = config '(olcDatabase = {1} hdb)' olcAccess

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \
cn = config '(olcDatabase = {- 1} frontal)' olcAccess

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \
cn = config '(olcDatabase = {0} config)' olcAccess

: ~ # Ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Cadascun dels comandaments anteriors ens mostraran les ACL que fins ara tenim declarades en el nostre Directori. Específicament, l'últim comando les mostra totes, mentre que els tres primers ens donen les regles de control d'accés als tres DIT involucrats en el nostre bufetada.

Sobre el tema de les ACL i per no fer un article molt més llarg, recomanem la lectura de les pàgines de l'manual man slapd.access.

Per garantir l'accés dels usuaris i administradors a actualitzar el seu entrades de loginShell y gecos, Afegirem la següent ACL:

## Creem l'arxiu olcAccess.ldif i ho deixem amb el següent contingut: ~ # nano olcAccess.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcAccess olcAccess: {1} to attrs = loginShell, gecos by dn = "cn = admin, dc = amics, dc = cu" write by self write by * read

## addicionem l'ACL
: ~ # Ldapmodify -I EXTERNAL -H ldapi: /// -f ./olcAccess.ldif

# Comprovem els canvis
ldapsearch -Q -LLL -I EXTERNAL -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Generació de Certificats TLS a Squeeze

Per tenir una autenticació segura amb el servidor OpenLDAP, hem de fer-la mitjançant una sessió encriptada la qual podem aconseguir-la mitjançant l'ús de l' TLS Transport Layer Security o Capa de Transport Segura.

El servidor OpenLDAP i els seus clients són capaços d'utilitzar el marc TLS per proveir la protecció referent a la integritat i la confidencialitat, així com donar el suport per a una autenticació LDAP segura mitjançant el mecanisme SASL «Simple Authentication and Security Layer« Extern.

Els servidors OpenLDAP moderns perfieren l'ús de */ StartTLS /* O Iniciar una Capa Segura de Transport a l'protocol /LDAPS: ///, El qual està obsolet. Qualsevol dubte, visiteu * Start TLS v. ldaps: // * en http://www.openldap.org/faq/data/cache/605.html

Només cal deixar com s'instal·la per defecte l'arxiu / Etc / default / slapd amb la declaració SLAPD_SERVICES = »ldap: /// ldapi: ///», Amb l'objectiu d'emprar un canal encriptat entre el client i el servidor, i les pròpies aplicacions auxiliars per administrar el OpenLDAP que s'instal·lin localment.

El mètode aquí descrit, basat en els paquets GnuTLS-bin y ssl-cert és vàlid per al Debian 6 «Squeeze» i també per al Ubuntu Server 12.04. Pel Debian 7 «Wheezy» s'empra un altre mètode basat en OpenSSL.

La generació dels certificats en Squeeze es realitza de la següent manera:

1.- Instal·lem els paquets necessaris
: ~ # Aptitude install GnuTLS-bin ssl-cert

2.- Creem la Clau Primària per l'Autoritat de el Certificat
: ~ # Sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- Creem una plantilla per definir el CA (Certificate Authority)
: ~ # Nano /etc/ssl/ca.info cn = Amics Cubans ca cert_signing_key

4.- Creem el Certificat CA Self Signed o Auto-Signat per als clients
: ~ # Certtool --generate-self-signed \ --load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs / cacert.pem

5.- Generem una clau Privada pel Servidor
: ~ # Certtool --generate-privkey \ --bits 1024 \ --outfile /etc/ssl/private/mildap-key.pem

Nota: Substituïu "mildap"Al nom de l'arxiu anterior pel del seu propi servidor. Nomenar el Certificat i la Clau, tant per al servidor com per al servei que la utilitza, ens ajuda a mantenir les coses clares.

6.- Creem l'arxiu /etc/ssl/mildap.info amb el següent contingut:
: ~ # Nano /etc/ssl/mildap.info organization = Amics Cubans cn = mildap.amigos.cu tls_www_server encryption_key signing_key expiration_days = 3650

Nota: En el contingut anterior declarem que el certificat és vàlid per a un període de temps de 10 anys. El paràmetre hem de ajustar-lo a les nostres conveniències.

7.- Creem el Certificat de el Servidor
: ~ # Certtool --generate-certificate \ --load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-certificate /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

Fins aquí tenim generats els arxius necesarios.Sólo ens resta afegir a l'Directori la ubicació de l'Certificat Acte Signat cacert.pem; la de l'Certificat de el Servidor mildap-cert.pem; i la de la Clau Privada d'el Servidor mildap-key.pem. També hem d'ajustar els permisos i el propietari dels arxius generats.

: ~ # Nano /etc/ssl/certinfo.ldif
dn: cn = config add: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem - add: olcTLSCertificateFile olcTLSCertificateFile: /etc/ssl/certs/mildap-cert.pem - add: olcTLSCertificateKeyFile olcTLSCertificateKeyFile: / etc / ssl / private /mildap-key.pem

8.- afegim: ~ # ldapmodify -I EXTERNAL -H ldapi: /// -f /etc/ssl/certinfo.ldif

9.- Ajustem propietari i permisos
: ~ # Adduser OpenLDAP SSL-cert: ~ # chgrp ssl-cert /etc/ssl/private/mildap-key.pem: ~ # chmod g + r /etc/ssl/private/mildap-key.pem: ~ # chmod or /etc/ssl/private/mildap-key.pem

el certificat cacert.pem és el que hem de copiar a cada client. Perquè en el propi servidor s'utilitzi aquest certificat, hem de declarar a l'arxiu /etc/ldap/ldap.conf. Per a això, vam modificar l'arxiu i ho deixem amb el següent contingut:

: ~ # Nano /etc/ldap/ldap.conf
BASE dc = amics, dc = cu URI ldap: //mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

Finalment i també com a comprovació, reiniciem el servei bufetada i revisem la sortida de l' syslog de servidor, per conèixer si el servei es va reiniciar adequadament utilitzant el certificat recentment declarat.

: ~ # Service slapd restart
: ~ # Tail / var / log / syslog

Si el servei no es reinicia correctament o observem algun error greu en el syslog, No ens descoratgem. Podem intentar reparar el dany o començar de nou. Si decidim començar des de zero la instal·lació de l' bufetada, No cal formatar el nostre servidor.

Per esborrar tot el que fins ara hem fet per una o altra causa, hem de des-instal·lar el paquet bufetada, Ia continuació esborrar la carpeta / Var / lib / ldap. També hem de deixar en la seva versió original a l'arxiu /etc/ldap/ldap.conf.

És estrany que en un primer intent tot funcioni correctament. 🙂

Recordin que en la pròxima entrega veurem:

• Autenticació local d'usuaris
• Poblar la base de dades
• Administrar la base de dades mitjançant utilitats de consola
• Resum fins aquí ...

Fins aviat, amics !.